RAMP：逆转对抗扰动以增强针对恶意软件检测器的干净标签后门攻击

干净标签约束下，恶意软件检测器在微调时不容易只靠触发器学会后门。

• 场景：作者称检测器要用新收集的二进制再训练或微调，以应对概念漂移，这条更新管道就是训练时攻击面。后门应在干净输入上保持正常，却把带触发器的恶意软件判为良性。
• 已有路线：作者称加强触发器时，特征空间触发器落到可执行文件上可能失效，语义和结构约束限制了问题空间实现。挑选本来就接近恶意软件的良性样本，则需要特征表示，并取决于这类样本是否存在。
• 观察：注入触发器前，先把良性可执行文件的表示推向恶意区域。标签仍为良性，特征与良性类不太一致，微调中的特征–标签冲突更强，稳定触发器更容易成为指向良性标签的捷径。Fig. 1 是这一动机的示意图。
• 方法：作者提出 RAMP。在 black-box 下用遗传算法优化反转对抗扰动，再以保持功能的二进制修改注入，并称可与更复杂的触发器一起使用。
• 威胁模型：
  • 目标：更新后的模型在测试时把带触发器的恶意软件判为良性，同时保持干净样本上的性能。
  • 知识：score-based black-box。不知结构、参数或梯度，但可在更新前查询并看到恶意分数。
  • 能力：可向更新所用的收集管道注入有限个构造样本；不能改标签，也不能控制更新，只能做保持功能的二进制修改。
  • 受害系统：周期性微调的 Windows PE 原始字节恶意软件检测器。

静态恶意软件检测

• 动态与静态：动态分析在沙箱中监控 API、系统调用和内存操作。静态分析不执行程序；作者称它有效率、可扩展性，且不依赖受控运行环境，因此仍是大规模流程的核心部分。
• 原始字节模型：传统方法使用元数据、opcode 统计和 n-gram。作者称这些特征计算开销低，但对代码变换和混淆带来的分布变化敏感。MalConv，以及把可执行文件转为灰度图的方法，直接从二进制学习；后续模型用注意力处理更长依赖。
• 攻击面：作者称大规模数据和周期性更新，使这些模型面临逃逸和后门投毒。

后门与干净标签

• 标签是否翻转：论文把后门写成训练时植入、由触发器激活指定预测，并保持干净输入上的通常行为；相对逃逸，论文称其在部署后以较低攻击成本持续起作用。翻转标签可直接建立关联，引用包括 Li 等与 Zhan 等的 MalPDT。clean-label 保留原标签，论文称更隐蔽也更难做成，引用包括 Turner 等的标签一致后门。
• 做触发器：论文称已有研究主要在设计影响更大的触发模式。Severi 等用 Shapley 值分析挑选触发特征；另有工作借用通用对抗扰动做后门。引言写道，这类特征空间触发器在可执行文件中实现时可能变弱，语义和结构约束限制了问题空间落地。
• 选样本：论文记述 Gao 等的结论：更难学习的投毒样本可以提高攻击效果。论文记述 Wang 等的结论：选择与恶意软件相似的良性样本可以加强攻击。引言把 Shapira 等与 Wang 等归入该路线，并写它需要特征表示知识，且取决于天然接近恶意软件的良性样本是否存在。作者在此之上改为构造投毒样本。

功能保持的逃逸攻击

• 梯度与查询：论文称 Kolosnjaji 等只改一小部分字节，用梯度优化逃逸深度检测器并保持功能。GAMMA 被写成 query-efficient 的 black-box 方法，向可执行文件注入良性内容。
• 结构化 PE：RAMEN 用头部扩展、节区平移等操作，覆盖 white-box 与 black-box。MalPatch 向非功能区注入与样本无关的补丁，以便跨恶意样本复用。论文称这些保持功能的改法与 RAMP 的二进制修改直接相关。

基线与数据

• 基线：trigger-only 走同一 clean-label 流程，不构造对抗样本。组合实验使用 MalPDT 的动态触发器，以及 PBA 在 black-box 下启发式搜索得到的固定通用对抗触发器。消融还有 RandInject 与 RAMP-MalContent。防御实验为 STRIP、Fine-Pruning、ABL。
• 数据：40,000 个 Windows PE；恶意部分为 SOREL-20M 原始二进制，良性部分为 Windows 有效可执行文件和 PortableApps。两个目标模型使用 EMBER 上的公开预训练权重。

作者把这项工作放在构造投毒样本上：在触发器设计之外，先做出偏向恶意区域的良性样本。作者称反转扰动可以与固定触发器和动态触发器叠用。

RAMP 把对抗扰动的目标反过来：良性标签和程序功能都保留，先让良性 PE 更难被判为良性，再在另一区域嵌入触发器，使微调把触发器当成良性标签的捷径。作者称四步中第 1 步是核心，后三步沿用标准 clean-label 流程。

任务形式

• 标签 Y 取 0 或 1，0 为良性，1 为恶意。预训练检测器在新收集数据上最小化经验风险。攻击者只能把样本以标签 0 并入微调集。
• 核心是在合法变换下最大化该良性样本的损失，且扰动位置与触发器位置不相交。目标写作 δ^∗=argmax_δ∈Δ L(f_θ(g(x_b,δ)), y_b)。含义是：经功能保持变换 g 之后，尽量增大模型把该样本判对的损失。
• 投毒项推动更新后的模型把触发器关联到标签 0。推理时，恶意样本加上同一触发器后应被判为 0。
• 攻击者不控制微调。实验中的更新使用 Adam，学习率 0.0005，batch size 32，10 个 epoch。

黑盒遗传搜索

• 只能看到恶意分数时，用遗传算法搜索扰动。种群从 [0, 1] 的 k 维均匀分布初始化。实验取种群 20、迭代 50，扰动长度 20,000 字节，至多占输入长度的 2%。
• 候选量化为字节，分量为 floor(z×255)，范围 0 到 255。适应度就是上面的损失。随后按适应度选择、交叉，并按论文所写的预先给定概率变异。论文没有给出选择比例和该概率。
• 全部评估结束后取适应度最高的候选。初始化用随机字节，不用恶意样本中的内容。
• 作者给出两条理由：恶意内容可能带入可识别的恶意模式，使样本在外部被标成恶意，妨碍干净标签目标；也可能让投毒样本共享触发器以外的模式。随机字节避免可复用的恶意内容。作者把该选择放在第 6.4 节检查。

写入 PE 与触发器

• Algorithm 2 将优化后的扰动与触发器分开放，模式为 padding 或 shift，均改编自 RAMEN，并按文件对齐约束补齐。不相交是为了避免扰动盖住触发器，并把特征偏移与触发器拆开，以便更换触发器。
• padding 把字节放入 slack 或未映射区域，作者称运行时代码和数据不变。shift 平移第一个节区并更新受影响的文件偏移，腾出可控区域，同时保持加载器期望的布局。Fig. 2 标出插入长度 k 与各节偏移。
• 默认触发器为 Full DOS：DOS 头中除加载所需的魔数 MZ 和指向 PE 头的 e_lfanew 外，其余字节作为触发区域。默认内容为随机字节，未另作说明时长度为 96。

提交与判定

• 攻击者向众包收集端提交少量标签仍为 0 的投毒样本，由平台并入微调集。方法部分没有规定绝对条数。
• 每个投毒率下，作者优先选择置信度最高、也就是最像恶意软件的对抗样本，再注入触发器。
• 成功看 ASR 与 CDA：ASR 是测试集恶意样本加触发器后被判为良性的比例；CDA 是后门模型在干净测试样本上的准确率。

实验设置

• 数据：40,000 个 Windows PE，恶意与良性各 20,000。恶意样本来自 SOREL-20M 原始二进制；良性样本来自 Windows 上的有效可执行文件和 PortableApps。按 80%/20% 随机分为 Dtrain、Dtest。论文没有分开写两个子集中的恶意条数。
• 模型：MalConv 与 MalConvGCG，均使用 EMBER 上的公开预训练权重。微调为 Adam，学习率 0.0005，batch size 32，10 个 epoch。
• 攻击配置：扰动 20,000 字节，至多输入长度的 2%；遗传算法 50 轮、种群 20。默认触发器为随机字节、长 96。注入为 padding 与 shift。投毒率 1%、2%、5%、10%。
• 对照：trigger-only 不构造对抗样本。组合对象为 MalPDT 与 PBA。消融对照为 RandInject 与 RAMP-MalContent。
• 指标：ASR 是测试集恶意样本加触发器后被判为良性的比例。CDA 是后门模型在干净测试样本上的准确率。表中另有 Clean Acc.。论文没有写分类阈值。
• 重复与抽样：Table 3 为五个随机种子，CDA 取平均，ASR 为均值±标准差。Table 1、Table 4、Table 5 没有写种子数。PEfile 每种模式 1,000 个；VirusTotal 每种模式 100 个。ABL 写明 1% 投毒对应 320 个投毒样本。

主结果

Fig. 4 纵轴为 ASR（%），横轴为 Poison Rate（%），取 1、2、5、10；图例为 Trigger-only、RAMP (padding)、RAMP (shift)，左右两幅为 MalConv 与 MalConvGCG。点的数值以 Appendix Table 3 为准，下表只列 ASR。

表格较宽，可左右滑动

设置	PR=1%	PR=2%	PR=5%	PR=10%
MalConv，trigger-only	0.0546±0.0083	0.0762±0.0261	0.2006±0.0940	0.3052±0.1099
MalConv，RAMP padding	0.7299±0.1877	0.6647±0.2221	0.7669±0.1522	0.7278±0.1952
MalConv，RAMP shift	0.6538±0.2063	0.6285±0.1209	0.7053±0.1114	0.7694±0.0585
MalConvGCG，trigger-only	0.0959±0.1104	0.0843±0.0480	0.1028±0.0719	0.2669±0.2021
MalConvGCG，RAMP padding	0.1366±0.0946	0.1212±0.0747	0.2251±0.1047	0.4557±0.1870
MalConvGCG，RAMP shift	0.1392±0.1135	0.1873±0.1556	0.1480±0.0807	0.3759±0.2081

• 相对 trigger-only：作者称在 MalConv、1% 投毒时，两种 RAMP 把 ASR 提高大约 60 个百分点。表中 padding 为 0.7299 对 0.0546，shift 为 0.6538 对 0.0546。ASR 并不随投毒率单调上升，例如 MalConv 的 padding 在 2% 为 0.6647，低于 1% 的 0.7299；论文没有解释。1% padding 的标准差为 0.1877。
• 两个模型：作者称 MalConvGCG 更不容易被注入后门，一种可能解释是 global channel gating 更能压低虚假局部模式。该模型在 1% 时两种 RAMP 的 ASR 约为 0.14；10% 时 padding 为 0.4557，shift 为 0.3759。
• CDA：MalConv 的 Clean Acc. 为 0.9883，MalConvGCG 为 0.9869。与 CDA 相差最大的一格是 MalConv、padding、10%，CDA 为 0.9849，差 0.0034。作者称最大降幅低于 0.3 个百分点。第 6.2 节概括句写 MalConv 在 1% 时 ASR 超过 90%，与 Table 3 的 0.6538、0.7299 不一致；超过 90% 的结果出现在 Table 1 的部分组合中。

与 MalPDT 和 PBA 组合

• MalPDT：Table 1 中，MalConv、1% 时无 RAMP 的 ASR 为 2.93%，padding 为 94.20%（高 91.26 个百分点），shift 为 94.78%（高 91.84 个百分点）。MalConvGCG、1% 时 padding 只有 1.83%（高 0.15 个百分点），shift 为 81.98%（高 80.31 个百分点）。该模型在 10% 时 padding 为 97.11%，shift 为 95.41%。
• PBA：1% 时 MalConv 的 padding / shift 为 96.16% / 89.42%，基线 9.81%；MalConvGCG 为 99.79% / 99.21%，基线 64.57%。全表最高为 MalConvGCG、padding、2% 的 99.91%。MalConv、shift、2% 为 76.34%，低于同格 padding 的 94.92%，也低于该 shift 在 1% 的 89.42%。
• 作者的说法：作者称在 MalConv 的低投毒率上，RAMP 与 MalPDT 把 ASR 提高 90 个百分点以上。对 PBA，作者称 1% 时几乎所有设置已高于 90%；表中 MalConv 的 shift 为 89.42%。作者还称 padding 与 shift 孰高随攻击、模型和投毒率变化。Table 1 的 CDA 在 98.38% 到 98.87% 之间。该表没有写种子数。

功能与外部标签

• PE 结构：每种模式随机抽 1,000 个投毒文件，用 PEfile 检查能否按合法 PE 解析。作者报告全部通过，并称因此不必再做动态分析。论文没有运行时执行结果。
• VirusTotal：每种模式 100 个文件。Table 2 中 RandInit 的 shift / padding：平均模型分 0.8549 / 0.8546，平均引擎检出 0.52 / 0.48，至少 5 个引擎判恶意的比例都是 1%。论文采用的 EMBER2024 标准是至少 5 个引擎。
• 作者的说法：作者称平均分高于 0.8，特征靠近恶意区域，但外部引擎很少报出。同表 MalContent + padding 的平均分为 0.8556，平均检出 10.76，至少 5 个引擎的比例为 97%。

三种防御

• STRIP：向测试样本的 padding 区域追加良性 overlay，每样本 20 个变体，每组 200 个测试样本。Fig. 7 的平均熵：MalConv 上干净 0.059、投毒 0.007；MalConvGCG 上干净 0.043、投毒 0.052。作者称假拒率 5% 时假接受率仍为 100%，投毒输入没有表现出该方法所依赖的持续低熵。
• Fine-Pruning：剪去卷积层 30% 低激活通道，再在干净数据上微调 5 个 epoch，学习率 5×10−5。Table 4、投毒率 1%：MalConv 的 ASR 从 0.9543 到 0.8860（降 6.83 个百分点），CDA 从 0.9886 到 0.9848；MalConvGCG 的 ASR 从 0.2193 到 0.1492（降 7.01 个百分点），CDA 从 0.9901 到 0.9902。作者认为后门并不集中在少量休眠通道。论文没有写明 padding 还是 shift；防御前 ASR 也不是 Table 3 的五种子均值。
• ABL：Table 5 写明 clean-label DOS、随机 96 字节触发器、投毒率 1%；隔离比例 1%，γ=0.5，隔离/微调/反学习为 20/10/5 个 epoch，学习率 10−3、10−4 与 5×10−4。MalConv 隔离 0/320，CDA 从 0.9886 到 0.5595，ASR 从 0.9543 到 0.9985。MalConvGCG 隔离 8/320，ASR 到 0.0000，CDA 到 0.5000。作者认为对抗扰动后的投毒样本并不稳定地成为低损失、容易学的样本；并称 0.5000 在该平衡二分类中是机会水平。

其他消融与分析

• Fig. 5 在 MalConv 上比较扰动来源：RAMP-RandInit 的 ASR 在各投毒率最高；RandInject 相对 trigger-only 没有明确提升；RAMP-MalContent 在各投毒率上无效，且较高投毒率时 CDA 下降。正文没有各点读数。
• Table 2 中 MalContent 与 RandInit 的平均模型分接近，但至少 5 个引擎的比例为 97% 对 1%。作者用它支持随机字节初始化。
• Appendix Fig. 6 是预训练 MalConv 的 t-SNE，分 trigger-only 与 RAMP，图例为干净良性、干净恶意和投毒良性。作者称 RAMP 的特征偏移更清楚；文字稿没有点的位置，不能核对簇是否分开。
• 作者称每个投毒率都优先使用置信度最高的对抗样本，因此较小预算里已经包含很有效的投毒样本。

作者指出的局限与后续方向

• 论文没有 Limitations 或 Future Work 专节。Conclusion 将良性可执行文件上的特征空间操作称为一条实际且尚未充分探索的攻击维度，并呼吁针对 clean-label 投毒做出更有效的防御。
• 论文未专门讨论方法本身的局限。

实验覆盖范围

• 检测器为 MalConv 与 MalConvGCG，预训练权重来自 EMBER；微调超参写在第 6.1 节。
• 数据为 40,000 个 Windows PE，恶意样本来自 SOREL-20M，良性样本来自 Windows 与 PortableApps，划分 80%/20%。
• 投毒率为 1%、2%、5%、10%。Table 3 使用五个随机种子。扰动预算、遗传算法轮数与种群、默认 96 字节随机触发器写在第 6.1 节。论文没有报告查询次数，也没有报告变异概率。
• 触发器包括默认 DOS 触发器、MalPDT 和 PBA；注入为 padding 与 shift。防御为 STRIP、Fine-Pruning 和 ABL，Table 4 与 Table 5 的投毒率为 1%。
• 结构检查为每种模式 1,000 个样本的 PEfile 解析，外部标签为每种模式 100 个样本的 VirusTotal。第 6.3 节写明没有做额外动态运行时验证。Table 1 与两张防御表没有写重复次数。

RAMP 是 score-based black-box 下的 clean-label 后门增强，对象是会微调的 Windows PE 原始字节恶意软件检测器。

• 问题：众包审核要求投毒样本保持良性标签和程序功能。作者的做法是先把良性 PE 的表示推向恶意区域，再加入触发器，使微调更可能把触发器当成良性捷径。
• 做法：遗传算法从随机字节出发，最大化仍标为良性的样本的损失；padding 或 shift 把扰动写到与触发器不相交的位置。默认触发器在 DOS 头，长度 96 字节。
• 默认触发器：五个种子下（Table 3），MalConv、投毒率 1% 的 ASR，trigger-only 为 0.0546±0.0083，RAMP padding 为 0.7299±0.1877，shift 为 0.6538±0.2063。MalConvGCG 在 1% 时两种 RAMP 约为 0.14，10% 时 padding 为 0.4557±0.1870。
• 组合与约束：Table 1 中，MalPDT 加 shift、MalConv、1% 的 ASR 为 94.78%；同一攻击加 padding、MalConvGCG、1% 只有 1.83%。RandInit 在 VirusTotal 上至少 5 个引擎报出的比例为 1%（各 100 个）。ABL 之后，MalConv 的 CDA 为 0.5595、ASR 为 0.9985，隔离 0/320；MalConvGCG 的 ASR 为 0、CDA 为 0.5000。
• 作者的结论：对良性可执行文件做特征空间修改，可以和触发器设计叠在一起；作者呼吁为 clean-label 投毒准备更有效的防御。